Linux架設(shè)DNS服務(wù)器(四)

AnnexMicro

6.提高域名服務(wù)器的安全
　　
　　為了提高域名服務(wù)器的安全性,必須要控制區(qū)文件的傳輸.在配置named.conf時(shí),可以采取幾方面的控制來(lái)加強(qiáng)安全.
　　
　　options {
　　
　　allow-transfer {202.103.166.100;};
　　
　　};
　　
　　這句指令指定只有授權(quán)的輔服務(wù)器才能從本主服務(wù)器上獲得區(qū)數(shù)據(jù)信息
　　
　　options {
　　
　　allow-query {192.168.1/24;127.0.0/8;};
　　
　　};
　　
　　這句指令指定只有授權(quán)的客戶才能從本服務(wù)器上獲得區(qū)數(shù)據(jù)信息. 　
　　
　　options {
　　
　　forwarders {202.103.166.194;202.105.177.100;};
　　
　　forward-only;
　　
　　};
　　
　　這句指令指定只有指定的服務(wù)器才能被本緩存服務(wù)器訪問(wèn).
　　
　　7.應(yīng)用實(shí)例
　　
　　假設(shè)有一個(gè)網(wǎng)絡(luò),網(wǎng)絡(luò)由proxy分成internet和intranet兩部分:為了保護(hù)mail server的安全,將它安置在intranet上.內(nèi)部用戶通過(guò)內(nèi)部mail server收發(fā)信件.
　　
　　proxy server主機(jī)上同時(shí)建有proxy server ,dns server 和smtp server.
　　
　　eth0 ip address:192.168.1.1
　　
　　eth1 ip address:172.16.0.1
　　
　　mail server主機(jī)上同時(shí)建有smtp server,pop3 server.
　　
　　ip address:172.16.0.2
　　
　　用戶的網(wǎng)關(guān) 為172.16.0.1
　　
　　dns server 為172.16.0.1
　　
　　smtp server為mail.test.com
　　
　　pop3 server為mail.test.com
　　
　　我們還是用"test.com"作為例子,我們需要六個(gè)基本配置文件:
　　
　　/etc/named.conf
　　
　　/var/named/named.ca
　　
　　/var/named/named.local
　　
　　/var/named/named.test.com
　　
　　/var/named/named.172.16.0
　　
　　/var/named/named.192.168.1
　　
　　7.1 創(chuàng)建或修改/etc/named.conf:
　　
　　// generated by named-bootconf.pl
　　
　　options {
　　
　　directory "/var/named";
　　
　　/*
　　
　　* If there is a firewall between you and nameservers you want
　　
　　* to talk to, you might need to uncomment the query-source
　　
　　* directive below. Previous versions of BIND always asked
　　
　　* questions using port 53, but BIND 8.1 uses an unprivileged
　　
　　* port by default.
　　
　　*/
　　
　　// query-source address * port 53;
　　
　　};
　　
　　//
　　
　　// a PM nameserver config
　　
　　//
　　
　　zone "." {
　　
　　type hint;
　　
　　file "named.ca";
　　
　　};
　　
　　zone "0.0.127.in-addr.arpa" {
　　
　　type master;
　　
　　file "named.local";
　　
　　};
　　
　　//there are our primary zone files
　　
　　zone "test.com" {
　　
　　type master;
　　
　　file "named.test.com";
　　
　　};
　　
　　zone "0.16.172.in-addr.arpa" {
　　
　　type master;
　　
　　file "named.172.16.0";
　　
　　};
　　
　　zone "1.168.192.in-addr.arpa" {
　　
　　type master;
　　
　　file "named.192.168.1";
　　
　　};
　　
　　文件中的zone "test.com"段是聲明這是用于test.com域的主服務(wù)器,用于該域的數(shù)據(jù)從/var/named/named.test.com文件中裝載.文件中的zone "0.16.172.in-addr.arpa"段是指向映射IP地址172.16.0.* 到主機(jī)名的文件.
　　
　　用于該域的數(shù)據(jù)從/var/named/named.172.16.0文件中裝載.文件中的zone "1.168.192.in-addr.arpa"段是指向映射IP地址192.168.1.* 到主機(jī)名的文件.用于該域的數(shù)據(jù)從/var/named/named.192.168.1文件中裝載.
　　
　　7.2 創(chuàng)建或修改/var/named/named.local
　　
　　@ IN SOA ns.test.com. root.ns.test.com. (
　　
　　2000051500 ; Serial
　　
　　28800 ; Refresh
　　
　　14400 ; Retry
　　
　　3600000 ; Expire
　　
　　86400 ) ; Minimum
　　
　　IN NS ns.test.com.
　　
　　1 IN PTR localhost.
　　
　　注意:在修改named.*文件時(shí)每次存盤(pán)時(shí)要注意增加Serial值.如使用絕對(duì)域名時(shí)千萬(wàn)別忘了后面帶的"."
　　
　　7.3 創(chuàng)建或修改/var/named/named.test.com
　　
　　@ IN SOA ns.test.com. root.ns.test.com. (
　　
　　2000051500 ; Serial
　　
　　28800 ; Refresh
　　
　　14400 ; Retry
　　
　　3600000 ; Expire
　　
　　86400 ) ; Minimum
　　
　　IN NS ns.test.com.
　　
　　ns A 192.168.1.1
　　
　　ns A 172.16.0.1
　　
　　MX 10 ns.test.com.
　　
　　www A 192.168.1.2
　　
　　mail A 172.16.0.2
　　
　　MX 10 mail.test.com.
　　
　　MX 20 ns.test.com.
　　
　　7.4 創(chuàng)建或修改/var/named/named.192.168.1
　　
　　@ IN SOA ns.test.com. root.ns.test.com. (
　　
　　2000051500 ; Serial
　　
　　28800 ; Refresh
　　
　　14400 ; Retry
　　
　　3600000 ; Expire
　　
　　86400 ) ; Minimum
　　
　　IN NS ns.test.com.
　　
　　1 IN PTR ns.test.com.
　　
　　2 IN PTR www.test.com.
　　
　　7.5 創(chuàng)建或修改/var/named/named.172.16.0
　　
　　@ IN SOA ns.test.com. root.ns.test.com. (
　　
　　2000051500 ; Serial
　　
　　28800 ; Refresh
　　
　　14400 ; Retry
　　
　　3600000 ; Expire
　　
　　86400 ) ; Minimum
　　
　　IN NS ns.test.com.
　　
　　1 IN PTR ns.test.com.
　　
　　2 IN PTR mail.test.com.
　　
　　假設(shè)用戶發(fā)一份郵件到tom@hotmail.com時(shí),信件先投遞到mail.test.com主機(jī),
　　
　　由mail.test.com主機(jī)再傳遞給ns.test.com主機(jī),再由ns.test.com主機(jī)投遞給mail.hotmail.com.然后再由用tom從mail.hotmail.com主機(jī)取得郵件.
　　
　　當(dāng)hotmail.com上的tom想發(fā)郵件給mail.test.com上的用戶時(shí),tom機(jī)器上的解析器先獲得test.com的域名信息,然后郵件客戶端根據(jù)郵件投遞路由首先發(fā)給mail.test.com主機(jī),由于mail.test.com主機(jī)為內(nèi)部主機(jī),internet用戶無(wú)法訪問(wèn).然后郵件客戶端根據(jù)郵件投遞路由發(fā)給ns.test.com主機(jī).由于ns.test.com主機(jī)為于internet上,ns.test.com主機(jī)收到郵件后再轉(zhuǎn)發(fā)到同一網(wǎng)段的mail.test.com主機(jī)上,然后再由用戶從mail.test.com主機(jī)取得郵件.　
　　
　　8.與Microsoft dns 的集成
　　
　　Microsoft dns 定義了一個(gè)新的類型WINS的資源記錄,它附屬在域的根區(qū).這個(gè)記錄告訴Microsoft的DNS服務(wù)器如何與WINS服務(wù)器取得聯(lián)系,解決對(duì)沒(méi)有靜態(tài)DNS記錄的主機(jī)的名稱查詢問(wèn)題.
　　
　　示例,一個(gè)WINS資源記錄如下:
　　
　　@ IN WINS 192.168.1.100
　　
　　為了使DNS和WINS合作,在Microsoft的DNS服務(wù)器配置中選擇相應(yīng)域的properties記錄,并且在WINS LOOKUP標(biāo)簽中啟用WINS解決.
　　
　　由于采用了非標(biāo)準(zhǔn)的資源記錄,大多數(shù)其他DNS并不支持這種資源記錄,如非Microsoft dns的計(jì)算機(jī)企圖從有DNS-WINS資源記錄的microsoft的DNS服務(wù)器中進(jìn)行區(qū)傳送時(shí),那么,該計(jì)算機(jī)就很可能出錯(cuò).
　　
　　9.DNS故障診斷
　　
　　大多數(shù)DNS故障的原因是配置文件的語(yǔ)法錯(cuò)誤,或者是對(duì)錯(cuò)誤的計(jì)算機(jī)分配了錯(cuò)誤的地址.當(dāng)進(jìn)行DNS故障診斷時(shí),參照下面的指導(dǎo)方針.
　　
　　9.1 對(duì)全部記錄,檢查和確認(rèn)主機(jī)名稱的拼寫(xiě).記住絕對(duì)地址是以"."結(jié)尾.
　　
　　9.2 如果在區(qū)文件中作了任何修改,務(wù)必修改SOA記錄中的序列號(hào).這將保證服務(wù)器正確地重新上載文件.
　　
　　9.3 確定輸入到主區(qū)的名稱和IP地址匹配反向指針文件中的反向指針信息.
　　
　　9.4 Microsoft的DNS服務(wù)器采用了非標(biāo)準(zhǔn)的資源記錄,可能會(huì)導(dǎo)致問(wèn)題.


本文來(lái)自ChinaUnix博客，如果查看原文請(qǐng)點(diǎn)：http://blog.chinaunix.net/u/10072/showart_66476.html